Według doniesień cztery partie otrzymały upomnienia z powodu ukierunkowanych reklam na Facebooku. Mikrotargetowanie a RODO to jednak temat nie tylko dla partii, lecz dla każdej kampanii, która dobiera grupy docelowe według zainteresowań.
Reklama ukierunkowana i jej granice
Reklama ukierunkowana (taka jak ta niemieckiego rządu federalnego na Facebooku !?) jest codziennością w mediach społecznościowych. Kto zamieszcza reklamę, wybiera wiek, region i zainteresowania. Platforma wyświetla następnie reklamę odpowiednim użytkownikom. To wygodne i skuteczne. Rodzi jednak pytania, gdy zainteresowania pozwalają wnioskować o bardzo prywatnych cechach.
Mikrotargetowanie RODO: decyzja i jej uzasadnienie
Berliński pełnomocnik ds. ochrony danych i wolności informacji zarzucił czterem partiom, że stosowanie politycznego mikrotargetowania w kampanii przed wyborami do Bundestagu w 2021 roku było niezgodne z prawem. Chodzi o CDU, SPD, Bündnis 90/Die Grünen i Die Linke. Organ udzielił upomnień i ostrzeżeń. Kar pieniężnych według doniesień nie nałożono.
Jako punkt wyjścia doniesienia wskazują dziennikarskie śledztwo programu ZDF Magazin Royale z 2021 roku. Redakcja zbierała za pomocą rozszerzenia przeglądarki dane o wyświetlanych reklamach wyborczych. Na tej podstawie organizacja ochrony prywatności noyb złożyła w marcu 2023 roku skargi w imieniu osób, których dane dotyczą. Decyzje zapadły według beck-aktuell 24 września 2026 roku. Według noyb zostały doręczone stronom dopiero w połowie października. Media poinformowały o nich 21 października 2026 roku.
Co do meritum organ miał stwierdzić, że partie przetwarzały dane wrażliwe o przypuszczalnych poglądach politycznych użytkowników, aby wyświetlać ukierunkowane reklamy wyborcze. Brakowało do tego wystarczającej podstawy prawnej, na przykład wyraźnej zgody. Tak relacjonują to doniesienia.
Co jest potwierdzone, a co nie
Komunikatu prasowego organu 23 października 2026 roku nie udało się znaleźć. Decyzja jest dotąd znana tylko z mediów i od noyb. Pełne uzasadnienie według stanu naszych ustaleń nie jest publicznie dostępne. Niejasnych pozostaje więc kilka kwestii:
- na jakich dokładnie podstawach prawnych opiera się organ,
- jaką rolę w ocenie odgrywa Meta jako platforma,
- czy i jak oceniono listy klientów (Custom Audiences) lub podobne grupy odbiorców (Lookalikes).
Postępowanie przeciwko AfD wciąż trwa. Dalsze szczegóły nie są pewne. Ponadto berlińska decyzja nie wiąże ani innych organów nadzorczych, ani sądów. Pokazuje jednak, jak argumentuje organ, i jest to sygnał ostrzegawczy dla każdej firmy reklamującej się w mediach społecznościowych.
Reklama ukierunkowana nie jest przy mikrotargetowaniu na gruncie RODO zakazana. Przedmiotem sporu jest przetwarzanie poglądów politycznych i innych szczególnie chronionych informacji. Właśnie tu pojawia się kolejne pytanie.
Kiedy zainteresowania stają się danymi wrażliwymi
Ogólne rozporządzenie o ochronie danych szczególnie chroni określone informacje. Fachowo nazywa się je szczególnymi kategoriami danych osobowych. Należą do nich dane o zdrowiu, przekonaniach religijnych lub światopoglądowych, poglądach politycznych, orientacji seksualnej, pochodzeniu etnicznym i przynależności do związków zawodowych, a także dane genetyczne i biometryczne. Art. 9 RODO co do zasady zakazuje ich przetwarzania i dopuszcza tylko wąskie wyjątki. W przypadku reklamy w praktyce wchodzi w grę zazwyczaj tylko wyraźna zgoda.
Decydujące jest przy tym szerokie spojrzenie. Nie trzeba, aby ktoś wyraźnie podał, że jest chory lub wierzący. Trybunał Sprawiedliwości UE wykłada to pojęcie szeroko. W wyroku z 1 sierpnia 2022 roku (C-184/20) chodziło o dane, z których cechę wrażliwą można wywnioskować tylko pośrednio. Również takie wnioski mogą podlegać szczególnej ochronie.
Wyrok z 4 lipca 2023 roku (C-252/21) dotyczył Mety i niemieckiego Federalnego Urzędu Kartelowego. Trybunał stwierdził, że już samo odwiedzanie stron lub aplikacji o wrażliwym charakterze, powiązane z kontem użytkownika, może stanowić przetwarzanie szczególnych kategorii danych. Ponadto takie dane nie zostają „w sposób oczywisty upublicznione” tylko dlatego, że użytkownicy odwiedzają stronę. Ten wyjątek należy wykładać ściśle.
W wyroku z 4 października 2024 roku (C-446/21) chodziło o Schremsa i Metę. Publiczna wypowiedź na temat własnej orientacji seksualnej nie pozwala na wykorzystywanie do reklamy dalszych danych na ten temat. Również w reklamie obowiązuje minimalizacja danych.
Miara dla praktyki
Z tej linii orzeczniczej można wyprowadzić praktyczną regułę. Nie etykieta cechy grupy docelowej jest decydująca, lecz cel i możliwy wniosek. Zainteresowanie „bieganiem” nie mówi prawie nic wrażliwego. Zainteresowanie stroną informacyjną o określonej chorobie jest bliższe zdrowiu. Zainteresowanie partią lub wspólnotą wyznaniową jest bliższe poglądom politycznym lub religijnym niż zainteresowanie „wiadomościami”. Im ściślejszy związek, tym bardziej należy przyjąć, że chodzi o dane wrażliwe.
Niebezpieczne są też cechy zastępcze, po angielsku proxy targeting. Nie wybiera się wtedy samej kategorii wrażliwej, lecz jej zamiennik. noyb informuje, że partie w kampanii przed wyborami do Bundestagu w 2025 roku posługiwały się takimi cechami zastępczymi, na przykład zainteresowaniem zespołami muzycznymi popularnymi w określonym spektrum politycznym. Kto tak postępuje, nie rozwiązuje problemu. Liczy się wniosek, który wybór ma umożliwić.
Problemem nie jest reklama, lecz wnioskowanie o zdrowiu, wierze lub poglądach politycznych.
Jak powstają takie wnioski, widać także na przykładzie danych osobowych: informacje, które można połączyć z innymi, szybciej stają się danymi osobowymi, niż wielu przypuszcza.
Reklama na Facebooku: jak odpowiedzialność dzieli się z Metą
Kto reklamuje się na Facebooku lub Instagramie, nie działa sam. Platforma analizuje dane, tworzy grupy docelowe i wyświetla reklamę. Prawnie kluczowe jest tu pojęcie współadministrowania. Reguluje je art. 26 RODO. Współadministratorami są podmioty, które wspólnie ustalają cele i sposoby przetwarzania. Muszą one określić swoje obowiązki we wspólnym uzgodnieniu.
Trybunał Sprawiedliwości UE już wcześnie zastosował to do mediów społecznościowych. W sprawie fanpage’a (C-210/16, wyrok z 5 czerwca 2018 roku) uznał administratora fanpage’a za współodpowiedzialnego, ponieważ poprzez wybór grupy docelowej i konfigurację uczestniczy w ustalaniu celów i sposobów. W sprawie przycisku „Lubię to” (C-40/17, wyrok z 29 lipca 2019 roku) ograniczył odpowiedzialność do tych etapów, o których operator faktycznie współdecyduje.
Wytyczne 8/2020 Europejskiej Rady Ochrony Danych przenoszą to na kierowanie treści do użytkowników mediów społecznościowych. Zgodnie z nimi platforma i reklamodawca („targeter”) mogą być współadministratorami w zakresie wyświetlania reklamy grupie docelowej. Dla etapów wcześniejszych lub późniejszych nie obowiązuje to automatycznie.
Co pozostaje po stronie reklamodawcy
Ze współadministrowania wynikają dwie rzeczy. Meta nie jest jedynym administratorem, na którego można przerzucić każde pytanie. A uzgodnienie platformy nie zastępuje własnej oceny. Po stronie reklamodawcy pozostają w szczególności:
- wybór solidnej podstawy prawnej dla własnego targetowania,
- informowanie osób, których dane dotyczą, na przykład w polityce prywatności,
- dokumentowanie decyzji,
- przy szeroko zakrojonym profilowaniu lub wrażliwych powiązaniach ocena, czy potrzebna jest ocena skutków dla ochrony danych.
Aby lepiej zrozumieć przepływ danych do Mety, na blogu znajdują się informacje o Mecie i o trackingu.
Które grupy docelowe są ryzykowne, a które pozostają bezproblemowe
Z praktycznego punktu widzenia warto zastosować prosty podział według tego, na ile pozwalają na wnioskowanie. To orientacja, a nie opinia prawna. Konkretny przypadek może wyglądać inaczej.
Bezproblemowe są zazwyczaj wiek, region i język, a także zainteresowania związane z produktem bez związku z kategoriami wrażliwymi. Również umieszczenie reklamy w pasującym otoczeniu, na przykład obok artykułu na dany temat, nie wymaga profilowania.
Dokładnie należy sprawdzić zainteresowania, które mogą pozwalać na wnioskowanie, takie jak tematy zdrowotne, światopogląd, organizacje lub media o wyraźnym profilu. Należą do nich także listy klientów i podobne grupy odbiorców. Przy Custom Audiences trzeba wyjaśnić dwie kwestie: czy na przesłanie listy jest skuteczna zgoda oraz czy już sama przynależność do listy zdradza coś wrażliwego, na przykład w przypadku pacjentów lub członków. Do tej grupy należy też remarketing po odwiedzinach wrażliwych podstron.
Ryzykowne jest kierowanie reklam według przypuszczalnego zdrowia, religii, poglądów politycznych, orientacji seksualnej lub pochodzenia. Równie ryzykowne są listy z wrażliwych kontekstów bez wyraźnej zgody.
Meta według własnej zapowiedzi usunęła od stycznia 2022 roku opcje Detailed Targeting dotyczące zdrowia, pochodzenia, przynależności politycznej, religii i orientacji seksualnej. To obniża ryzyko, ale go nie eliminuje. Platforma nadal tworzy grupy docelowe na podstawie zachowań i sygnałów, a automatycznie tworzone grupy mogą zawierać wnioski. Aktualne funkcje narzędzi reklamowych należy przed każdym startem kampanii sprawdzić bezpośrednio w interfejsie.
Czy firmy mogą wybierać na Facebooku grupy docelowe według zainteresowań, które pozwalają wnioskować o zdrowiu, religii lub poglądach politycznych?
Lista kontrolna dopuszczalnych grup docelowych w kampaniach reklamowych
Poniższą listę dział marketingu, zarząd i osoby odpowiedzialne za ochronę danych mogą przejść wspólnie.
- Zapisać cel kampanii i kryteria grupy docelowej. Tylko wtedy można później odtworzyć, co było zamierzone.
- Sprawdzić każde kryterium pod kątem możliwych wniosków. Czy przynależność do grupy zdradzałaby coś o zdrowiu, wierze, poglądach politycznych, życiu seksualnym, pochodzeniu lub przynależności do związku zawodowego?
- Preferować szerokie, niewrażliwe kryteria. Cechy zastępcze nie są sposobem na obejście przepisów.
- Ocenić samą ofertę. Przy związku ze zdrowiem, religią lub polityką ryzyko jest wyższe i wtedy warto rozważyć zgodę lub reklamę kontekstową zamiast profilu.
- Własne listy klientów przesyłać tylko z udokumentowaną, świadomą zgodą. Hashowanie jej nie zastępuje.
- Sprawdzić uzgodnienie o współadministrowaniu z Metą i przypisać własne obowiązki, na przykład informowanie i obsługę żądań osób, których dane dotyczą.
- Przy grupach Lookalike sprawdzić listę źródłową i nie używać list z obszarów wrażliwych.
- Za pomocą piksela nie wysyłać do platformy zdarzeń z wrażliwych podstron, takich jak porady, diagnozy czy wspólnota wyznaniowa.
- Rozważyć ocenę skutków dla ochrony danych, jeśli profilowanie jest szeroko zakrojone lub istnieją wrażliwe powiązania, i udokumentować decyzję.
- Zobowiązać umownie agencje i usługodawców, wprowadzić proces zatwierdzania przed startem i regularnie wyrywkowo sprawdzać opcje grup docelowych.
W kwestii piksela pomaga spojrzenie na własną stronę internetową. Jakie usługi są ładowane przy jej otwarciu i czy polityka prywatności to odzwierciedla, pokazuje RODO Website Check. W kwestii tego, kiedy narzędzia wymagają zgody, dostępna jest także lista kontrolna narzędzi na stronach internetowych. Wymogi dotyczące skutecznej zgody opisuje ponadto motyw 32 RODO.
Jakie usługi ładuje Twoja strona internetowa?
Meta Pixel, interfejsy konwersji i inne trackery generują przepływy danych, które muszą być opisane w polityce prywatności. Website Check pokazuje, co faktycznie ładuje się przy otwarciu strony.
Reklama polityczna: szczególne zasady i co z nich wynika dla innych
Dla politycznej reklamy online od 10 października 2025 roku obowiązują dodatkowe zasady. Rozporządzenie UE 2024/900 reguluje przejrzystość i targetowanie reklamy politycznej. Według wyjaśnień berlińskiego organu ukierunkowane polityczne targetowanie online z użyciem danych osobowych jest dopuszczalne tylko na ścisłych warunkach: dane muszą być zebrane bezpośrednio od osób, których dotyczą, potrzebna jest wyraźna zgoda, a profilowanie z użyciem danych wrażliwych jest wykluczone.
Meta według doniesień prasowych zaprzestała w UE reklam politycznych i dotyczących kwestii społecznych. Nie znaleziono na to źródła pierwotnego, dlatego informacja ta jest podawana z zastrzeżeniem. Dla firm i stowarzyszeń z przekazem politycznym, na przykład przy lobbingu lub kampaniach na tematy społeczne, może to mieć znaczenie. Partii i firm nie należy stawiać na równi, jednak pytania prawne dotyczące art. 9 RODO, podstawy prawnej i odpowiedzialności są te same. Skutki w konkretnym przypadku mogą się różnić.
Podsumowanie i kolejne kroki
Najpierw warto zrobić inwentaryzację: jakie kampanie trwają, jakie listy grup docelowych zostały przesłane i kto je zatwierdził? Następnie należy ustalić zakresy odpowiedzialności, także wobec agencji. Tam, gdzie grupy docelowe pozwalają na wrażliwe wnioski, trzeba zmienić wybór albo wykazać zgodę.
Warto obserwować, czy berliński organ opublikuje jeszcze uzasadnienie lub komunikat prasowy i jak zakończy się postępowanie przeciwko AfD. Jedno i drugie ma konsekwencje i może wyostrzyć obraz.
Przy własnej stronie internetowej warto też przyjrzeć się bezpieczeństwu osadzonych skryptów. Automatyczne Web Security Checks pozwalają na pierwszą ocenę. Kto wybiera zainteresowania, powinien zawsze pytać, co ten wybór zdradza o osobach, do których kieruje przekaz.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
